Risikomanagement Sicherheitsbaustein Cyberversicherung

Anbieter zum Thema

Zürich Versicherung Aktien- Gesellschaft

Allianz SE

Bitkom e.V.

Axa Konzern AG

Vogel IT-Medien GmbH

mehr weniger

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

weniger

Die Cyberversicherung ist Teil eines umfassenden Risikomanagements. Welche Voraussetzungen müssen Unternehmen für einen Abschluss erfüllen? Welche Leistungen bekommen sie dafür? Wie können Dienstleister unterstützen?

„Cyberangriffe werden unversicherbar“, orakelte Mario Greco, Chef des Zurich-Versicherungskonzerns, Ende vergangenen Jahres. Welche Unternehmen brauchen überhaupt eine Cyberversicherung? Eigentlich alle. Dem Allianz Risk Barometer 2023 zufolge, bereiten Cybergefahren den Unternehmen zum zweiten Mal in Folge mit die größten Sorgen. Die jährlichen finanziellen Schäden in Deutschland bezifferte der Bitkom mit 203 Milliarden Euro. 200.000 Euro pro Schadenfall nennt die Cyber-Direkt-Studie „Risikolage 2022“. Dass die Versicherungskonzerne deshalb die Prämien im vergangenen Jahr um 50 bis 100 Prozent erhöht haben, wundert daher nicht.

Denn digitale Bedrohungen sind schwer kalkulierbar. Auch für die Unternehmen. Speziell für kleinere Unternehmen kann ein Vorfall das finanzielle Aus bedeuten. Bei großen Unternehmen ist eine Cyberversicherung inzwischen Standard. Kleine und mittelgroße Firmen sehen oft nur die Kosten, die eine solche Versicherung verursacht. Denn es geht nicht nur um die Beiträge. Auch die Voraussetzungen, die von den Versicherern gefordert werden, kosten Geld. Bedenkt man aber, dass die Absicherungsmaßnahmen sowieso zu einem zeitgemäßen Risikomanagement gehören, relativiert sich der finanzielle Aufwand.

Vorgaben der Versicherungsgesellschaften

Goethes Weisheit „Was man Schwarz auf Weiß besitzt, kann man getrost nach Hause tragen“ passt bei Versicherungen nicht immer. Im Schadensfall versuchen sich die Konzerne vor der Zahlung zu drücken, wenn die vereinbarten Voraussetzungen nicht zu 100 Prozent erfüllt wurden. Die verpflichtenden Kriterien für den Abschluss einer Cyberversicherung sind zahlreich, aufgrund des schlecht kalkulierbaren Risikos aber für die Versicherungen essentiell. Viele Anträge werden abgelehnt, wenn das Schutzniveau nicht hoch genug ist. Im Gegenzug kann ein sehr hohes Schutzniveau die Beiträge im Rahmen halten.

Zu den Vorgaben der Versicherungsgesellschaften zählt unter anderem, dass die Daten durch regelmäßige Backups gesichert werden müssen. Auf den Zugangsgeräten der (remote) Mitarbeitenden muss die aktuellste Version eines Antivirenprogramms installiert sein. Für die Identitäts- und Zugriffsverwaltung ist zumindest die Multifaktor-Authentifizierung (MFA) vorgeschrieben. Best Practice bei der Rechtevergabe im Identity Access Management (IAM) ist das Least-Privilege-Prinzip, also entsprechende Rechte nur denjenigen einzuräumen, die sie für die Arbeit benötigen. IAM ist auch die Grundlage einer Zero-Trust-Strategie. Ein weiterer Baustein ist Extended Detection & Response (XDR). Wichtige Punkte im Risikomanagement sind PEN-Tests und, da der Mensch eine große Schwachstelle darstellt, die regelmäßige Mitarbeiterschulung.

Versicherungsunternehmen fordern außerdem belegfähige Daten und automatische Messungen. Sonst wird im Schadensfall unter Umständen nicht gezahlt. Zudem nötig ist ein Fahrplan zur Schadensbegrenzung, sollte eine ­Cyberattacke erfolgreich sein.

Nur eine finanzielle Absicherung?

Welche Schäden deckt eine Cyberversicherung ab? Das sowie die Betragsprämie ist abhängig vom vereinbarten Leistungsumfang. Grundsätzlich können unter anderem folgende Aspekte versichert werden:

• Wiederherstellung der IT-Systeme und Daten

• IT-Forensik (Entfernung der Schadsoftware)

• Lösegeldzahlungen bei Ransomware-Angriffen

• Gewährleistung der Geschäftskontinuität

• Kompensation des Umsatzausfalls

• Rechtskosten, auch Gerichtskosten

• Einkommensverluste

• Drittschäden (Schadenersatzforderungen)

Noch wichtiger als die finanzielle Absicherung ist im Schadenfall inzwischen die Hilfe von Incident-Response-Experten der Versicherungen. Diese hochqualifizierten Security-Spezialisten unterstützen das IT-Team vor Ort bei der Identifizierung der Ursache, der Eindämmung und Beseitigung des Schadens sowie der Wiederherstellung der IT-Systeme und Daten. In Zeiten des Fachkräftemangels, der auch in der IT-Security vorherrscht, kann diese Hilfe die Rettung für ein Unternehmen sein. Auch ein eigener Incident-Response-Plan, der Rollen und Aufgaben klar verteilt, ist im Fall der Fälle hilfreich. Die Versicherung kann auch die Kommunikation mit den zuständigen Behörden übernehmen und sich um Presse- und Öffentlichkeitsmaßnahmen kümmern.

Doch nicht alle Schäden können abgesichert werden. Der Vertrauensverlust bei den Kunden sowie der Reputationsverlust bei Geschäftspartnern sind hier an erster Stelle zu nennen. Zu bedenken ist auch, dass sich andere Cyberkriminelle die geleakten Daten im Darkweb für eine „Zweitverwertung“ beschaffen. Hat das Unternehmen nicht vorgesorgt, wird es erneut Ziel eines Angriffs. Nicht von der Hand zu weisen ist auch, dass sich Ransomware-Angreifer gezielt Unternehmen mit einer Cyberversicherung als Opfer aussuchen, da sie hier ihre Chance auf eine Zahlung, meist in Kryptowährung, besser einschätzen.

Unterstützung durch Lösungsanbieter und Dienstleister

Security-Lösungsanbieter und -Dienstleister können ihre Kunden auf unterschiedliche Weise unterstützen. Bei der Beratung sollte ein Fokus auf die Software-Automatisierung gelegt werden. Denn vor allem bei KMU ist die Personaldecke oft dünn und die IT-Verantwortlichen betreuen die IT-Security quasi nebenher mit. Automatisierungen filtern hier beispielsweise nur die wirklich wichtigen Security-Vorfälle heraus. Ebenso erleichtert entsprechende Software mittels automatisierter Reportings die Prüfungsverfahren der Versicherung und bietet dieser Transparenz.

Zahlreiche Anbieter haben Security Operations Center (SOC) als Dienstleistung im Portfolio. Ein SOC-Team kümmert sich um die Entwicklung eines Notfallplans und wertet auch den Erfolg der Reaktion auf Vorfälle aus. Weiterhin übernehmen Security-Hersteller inzwischen oft Awareness Trainings für die Mitarbeitenden des Kunden. Investitionen in eine gute Sicherheitsstruktur lohnen sich auf jeden Fall, verhindern sie doch bestenfalls, dass der Schaden gar nicht erst entsteht.

(ID:50043843)